xtgina.dll [Trojan-Ransom.Win32.PornoAsset.arpu, ]

[Maikroft]

Суть проблемы:
несколько дней назад ПК в бухгалтерии ушел в перезагрузку, после чего появилось окно: "Не найдена библиотека xtgina.dll", и единственная кнопка - "Перезагрузка". Путем загрузки в безопасном режиме из HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon мною был удален параметр реестра GinaDLL со ссылкой на эту библиотеку. Прогнал ПК AVZ и CureIT, нашелся какой-то вирус, уже отправленный Avira в карантин, и все. На этом я успокоился, но на следующий день ситуация повторилась. Удаление параметра реестра помогает лишь отчасти, понимаю, что где-то сидит червь, который прописывает его вместе с библиотекой, но понять, где, не могу. Avira кидает xtgina.dll в карантин постоянно, а также ругается на C:\Windows\Temp\btw_5091967a\10.tmp. Папку TEMP удалял полностью, прогонял все антивирусы в безопасном режиме, но ситуация не меняется. Также в "Безопасном извлечении устройств" появляется "Shared USB" по аналогии с этой темой:
http://virusinfo.info/showthread.php...ght=xtgina.dll
В общем, прошу помощи. Логи прилагаю.

[Info_bot]

Уважаемый(ая) Maikroft, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\msoorama.exe');
 ClearQuarantine;
 QuarantineFile('xtgina.dll','');
 QuarantineFile('C:\WINDOWS\system32\tgOjsITTfaMFmR.exe','');
 QuarantineFile('c:\windows\system32\msoorama.exe','');
 BC_DeleteSvc('Network Adapter Events');
 DeleteFile('C:\WINDOWS\system32\msoorama.exe');
 DeleteFile('C:\WINDOWS\system32\tgOjsITTfaMFmR.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3448096764-2386747266-861080540-1010\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','iJTlefOPCWwhhzseaJtEPJwJak');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','GinaDLL');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" правил) и приложите в теме.

Выполните скрипт в AVZ отсюда (скопируйте там весь текст):
http://dataforce.ru/~kad/ScanVuln.txt
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.

[Maikroft]

Выполнил, последний пункт сейчас доделываю. Логи прикрепил.
Что делает вирус и можно ли его также убить на второй машине?

[Nikkollo]

Пофиксите в HijackThis (как пофиксить):

R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
R3 - URLSearchHook: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)

Что с проблемой?

Для второй машины сделайте другую тему и приложите туда логи.

[Maikroft]

Проблема вроде устранена, библиотека не прописывается, ключи в реестре не появляются.
В HijackThis отмеченные ключи пофиксил.
Не подскажете, вот эта служба за что отвечает: C:\WINDOWS\system32\BeTwinServiceXP.exe ?

На второй компьютер сейчас устанавливаю обновления и через минут 10-20 создам тему.

[PavelA]

Не подскажете, вот эта служба за что отвечает: C:\WINDOWS\system32\BeTwinServiceXP.exe ?

http://www.thincomputinginc.com/index.aspx

Вот отсюда она к Вам попала.

[Maikroft]

Спасибо.
ПК был залит еще до меня, давненько, поэтому и не в курсе.

[PavelA]

Я бы этот файлик на ВТ проверил.

[Maikroft]

Я его прибил уже.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\msoorama.exe - Trojan-Ransom.Win32.PornoAsset.arpu ( DrWEB: Win32.HLLM.Limar.4356, BitDefender: Gen:Variant.Kazy.103508 )